为什么对于XSS预防,ValidateRequest ="true"不够？

Question

在"如何:防止ASP.NET中的跨站点脚本"中的步骤1的说明中指出,您应该"不依赖于ASP.NET请求验证.除了您自己的要求之外,还将其视为额外的预防措施.输入验证."

为什么不够呢？

Answer 1

一方面，黑客总是想出新的攻击和插入 XSS 的新方法。ASP.NET 的 RequestValidation 仅在 ASP.NET 新版本发布时才会更新，因此，如果有人在 ASP.NET 发布后的第二天提出新的攻击，RequestValidation 将无法捕获它。

（我相信）这就是AntiXSS项目出现的原因之一，因此它可以有更快的发布周期。